IBM DataStageに情報漏えいの脆弱性、修正情報あり
Cloud Pak for Data上のIBM DataStage 5.4.0.0に、認証済みの攻撃者がネットワーク越しに機密情報を読み取れる脆弱性が公表されました。該当する環境はIBMのセキュリティ情報で修正の案内を確認し、早めに適用してください。
急ぎ度: 早めに
CVSS v3は9.9でCriticalですが、悪用の確認を示すKEV掲載は見当たらず、ログインできるアカウントが前提のため、至急ではなく早めの対応と見ています。
関係があるか
Cloud Pak for Data上でDataStageを動かしている組織が対象です。複数の部門や外部委託先にDataStageのアカウントを配っている環境ほど、影響の範囲を見積もっておく必要があります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| IBM DataStage on Cloud Pak for Data | 5.4.0.0 | IBMのセキュリティ情報（Security Bulletin: DataStage on Cloud Pak for Data has several vulnerabilities）に修正の案内があります。適用する版や更新の手順は、そのページで確認してください。 |
確かめ方
- 1Cloud Pak for Dataの管理画面や運用手順書で、導入済みのDataStageサービスの版を調べます。
- 2版が5.4.0.0なら対象です。複数の環境（本番・検証・開発）がある場合は、それぞれ確認します。
- 3DataStageにログインできるユーザーと、ネットワーク上のどこからアクセスできるかも洗い出しておきます。
何が起きたか
IBM DataStage on Cloud Pak for Dataの5.4.0.0に、サーバー上のファイルを本来許されない範囲まで読み取られてしまう脆弱性が見つかりました。2026年11月8日に公表されています。
原因は、絶対パスによるパストラバーサル（CWE-36）です。ファイルの場所を指定するとき、想定した保存先の外にある場所を直接示せてしまうため、機密情報の漏えいにつながります。IBMの説明は情報の取得に触れていますが、CVSSのベクターでは機密性・完全性・可用性のすべてが「高」、影響範囲も「変更あり」と評価されています。
修正の案内は、IBMのセキュリティ情報にあります。この告知はDataStageの複数の脆弱性をまとめたもので、DataStage自体のXXEやクロスサイトスクリプティングのほか、OpenSSLやjackson-databind、LZ4 Javaといった部品の脆弱性も載っています。
攻撃の流れ
-
1
ログイン
DataStageの認証済みアカウントでサービスに接続します。
-
2
場所を指定
想定された保存先の外にあるファイルの場所を、絶対パスで指す要求を送ります。
-
3
情報の取得
サーバー上の機密情報が読み取られます。
-
4
被害の拡大
読み取った情報しだいで、DataStageの外にある資源にも影響が及ぶおそれがあります。
どう悪用されるか
悪用にはDataStageへの認証が必要です。ただしCVSSのベクターでは、必要な権限は低い（PR:L）、攻撃条件の複雑さも低い（AC:L）、利用者の操作は不要（UI:N）とされています。ネットワーク越しに攻撃でき、一般のユーザー権限があれば足りる想定です。
成功すると、サーバー上の機密情報が読み取られます。DataStageにはデータソースへの接続情報が保存されていることが多く、読み取られた内容によっては、接続先のシステムにまで被害が及ぶ可能性があります。影響範囲は「変更あり」とされており、脆弱性のある部品の外側にも影響が出る評価です。
今すぐやること
-
1
導入済みの版を確認する
Cloud Pak for Dataに導入しているDataStageが5.4.0.0かどうかを、すべての環境で確認します。
-
2
IBMのセキュリティ情報で修正を確認する
IBM Supportの「Security Bulletin: DataStage on Cloud Pak for Data has several vulnerabilities」で、適用する版と更新手順を確認します。同じ告知にほかの脆弱性の対応も載っているため、まとめて更新する計画を立てるのが現実的です。
-
3
修正を適用する
検証環境で動作を確かめたうえで、本番に修正を適用します。公表から日が浅く、悪用の確認は見当たらないので、定期メンテナンスを待たず、近い日程で組み込むのが妥当です。
-
4
アカウントとアクセス元を見直す
DataStageにログインできるユーザーを棚卸しし、使っていないアカウントや退職者のアカウントを無効にします。適用前後で、DataStageのログに不審なファイルパスを含む要求がないかも見ておくとよいでしょう。
すぐ更新できないとき
修正を適用するまでの間は、DataStageにアクセスできるアカウントとネットワーク範囲を絞り、インターネットから直接届かないようにします。正式な回避策の有無はIBMのセキュリティ情報で確認してください。
背景
DataStageはIBMのデータ連携（ETL）製品で、業務システムやデータベースから取り出したデータを整形し、分析基盤へ流すジョブを作って動かします。Cloud Pak for Dataの上で動かす場合、ジョブの定義だけでなく、接続先のデータソースの接続情報も扱います。そのためサーバー側のファイルが読めてしまうと、データ基盤全体の入口になる情報が漏れかねません。
パストラバーサルは、ファイル名や場所の指定を十分に制限しないことで生じる脆弱性です。今回のCWE-36は、相対的な「../」で上の階層へたどる型ではなく、絶対パスをそのまま指定できてしまう型にあたります。検証の対象が「../」の除去だけだと、この型は見逃されやすくなります。
よくある質問
Q.同じ告知にあるほかの脆弱性も、同時に確認すべきですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
IBM DataStage on Cloud Pak for Data 5.4.0.0 could allow a remote authenticated attacker to obtain sensitive information due to an absolute-path traversal vulnerability.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web ibm.com
- web nvd.nist.gov
- web github.com